所謂黑客就是利用系統(tǒng)安全漏洞對網(wǎng)絡進行攻擊和破壞，惡意的黑客可以利用非常簡單的攻擊方法進入數(shù)據(jù)庫，接下來，我們就一起跟隨我們鄭州北大青鳥的網(wǎng)絡專家來看一下，黑客是如何入侵數(shù)據(jù)庫的？企業(yè)如何阻止這種攻擊？
1.對弱口令或默認用戶名/口令的破解
有時企業(yè)只能保障關鍵數(shù)據(jù)庫的安全，其它的就不太安全了�，F(xiàn)在，較新的數(shù)據(jù)庫強制使你在安裝時改變系統(tǒng)管理員賬戶的默認口令。但較老的數(shù)據(jù)庫版本可能存在著問題，但即使是唯一的、非默認的數(shù)據(jù)庫口令也是不安全的。通過強力破解或只試著用不同的組合就可以輕易地找到這種口令。保護自己免受口令攻擊的最佳方法：避免使用默認口令，建立強健的口令管理程序并對口令經(jīng)常改變。
2.特權提升
特權提升通常更多地與錯誤的配置有關：一個用戶被錯誤地授與了超過其實際需要用來完成工作的、對數(shù)據(jù)庫及其相關應用程序的訪問和特權。一個非特權用戶可以試著連接到數(shù)據(jù)庫，只要他可以訪問一個系統(tǒng)，如CRM，他就可以用同樣的口令通過檢查，即使他沒有獲得此數(shù)據(jù)庫的授權。有些控制并沒有實現(xiàn)很好的集中化。
3.利用未用的和不需要的數(shù)據(jù)庫服務和功能中的漏洞
監(jiān)聽程序可以搜索出到達Oracle數(shù)據(jù)庫的網(wǎng)絡連接，并可以轉(zhuǎn)發(fā)此連接，這樣一來就會將用戶和數(shù)據(jù)庫的鏈接暴露出來。只需采用一些Google hacking攻擊，一位攻擊者就可以搜索并找到數(shù)據(jù)庫服務上暴露的監(jiān)聽程序。關鍵是要保持數(shù)據(jù)庫特性的精簡，僅安裝你必須使用的內(nèi)容。別的東西一概不要。Markovich說，“任何特性都可被用來對付你，因此只安裝你所需要的。如果你并沒有部署一種特性，你就不需要以后為它打補丁。”
4.針對未打補丁的數(shù)據(jù)庫漏洞
這些數(shù)據(jù)庫并沒有打補丁，如果一個黑客能夠比較版本，并精確地找出漏洞在什么地方，那么，他就可以跟蹤這個數(shù)據(jù)庫。而且一些黑客站點將一些已知的數(shù)據(jù)庫漏洞的利用腳本發(fā)布了出來，即使跟得上補丁周期有極大困難，單位也應當打補丁。這些和其它的補丁都不應當?shù)粢暂p心。每一個問題都能夠破壞你的數(shù)據(jù)庫。
5.SQL注入
除客戶端之外，Web應用程序是最脆弱的環(huán)節(jié)。有些情況下，如果攻擊者得到一個要求輸入用戶名和口令的應用程序的屏幕，而且應用程序并不檢查登錄的內(nèi)容的話，他所需要做的就是提供一個SQL語句或者數(shù)據(jù)庫命令，并直接轉(zhuǎn)向數(shù)據(jù)庫。從Web應用程序到數(shù)據(jù)庫兩個方面都可以實施SQL注入式攻擊，而且可以從數(shù)據(jù)庫內(nèi)部實施。但有一些程序設計方法可有助于防止應用程序中的SQL注入攻擊漏洞，如使用所謂的綁定變量(bind variable)或者使用參數(shù)進行查詢等。另外一種方法是避免顯示某些數(shù)據(jù)庫錯誤消息,目的是避免將可能敏感的信息透露給潛在的攻擊者。
6.竊取(未加密的)備份磁帶
如果備份磁帶在運輸或倉儲過程中丟失，而這些磁帶上的數(shù)據(jù)庫數(shù)據(jù)又沒有加密的話，一旦它落于罪惡之手，這時黑客根本不需要接觸網(wǎng)絡就可以實施破壞。只要被竊取的或沒有加密的磁帶不是某種Informix或HP-UX 上的DB2等較老的版本，黑客們需要做的只是安裝好磁帶，然后他們就會獲得數(shù)據(jù)庫。
以上就是平時我們最為常見的黑客入侵數(shù)據(jù)庫的六大慣用伎倆，如果你想成為“黑客”的對手，成為一名專業(yè)的網(wǎng)絡安全工程師，那么就來鄭州北大青鳥翔天信鴿網(wǎng)絡工程師培訓學校參加培訓學習吧！
網(wǎng)上報名：http://www.customercarejob.com/baoming.html
QQ在線咨詢：1140956478
學校當面咨詢地址：鄭州市文化路與農(nóng)業(yè)路交叉口，金國商廈15樓
